E-mail não chega no Hotmail e no Outlook: o guia completo

O cliente se cadastrou com um endereço @hotmail.com, o e-mail de confirmação saiu do seu sistema e nunca apareceu. No Gmail chega; no Hotmail some, cai no Lixo Eletrônico ou volta com um código que ninguém entende. Este guia mostra o que a Microsoft exige hoje, como ler cada recusa e como medir a entrega nos endereços dela, com os links oficiais de cada regra.

Resposta curta: confira isto primeiro#

1. Leia a resposta do servidor. Se o e-mail voltou, o código diz o motivo. 550 5.7.515 é falta de autenticação; S3150 é bloqueio de IP; 421 RP-00x é excesso de ritmo. A tabela completa está mais abaixo.
2. SPF, DKIM e DMARC no domínio do From. Os três passando, com o DKIM assinado pelo seu domínio (d=seudominio.com.br) e DMARC publicado, nem que seja com p=none.
3. Remetente de verdade. O From ou o Reply-To precisa ser um endereço do seu domínio que recebe resposta. Nada de From: voce@gmail.com saindo de outro servidor.
4. Lista limpa. Endereço que voltou com "não existe" sai da lista na hora; quem marcou como lixo eletrônico também.
5. Meça por provedor. Separe a taxa de aceite, adiamento e recusa da Microsoft das do Gmail. Problema que só aparece na Microsoft tem causa própria.

Outlook.com ou Microsoft 365: dois destinos diferentes#

A Microsoft tem dois serviços de e-mail, com filtros, códigos e formulários próprios:

Saber para qual dos dois o e-mail foi muda o caminho do desbloqueio. Para descobrir se uma empresa usa Microsoft 365, consulte o MX do domínio dela:

dig +short MX empresa.com.br
# 0 empresa-com-br.mail.protection.outlook.com.   <- Microsoft 365

No Windows, nslookup -type=MX empresa.com.br mostra o mesmo.

A regra de 5 de maio de 2025#

Em abril de 2025, a Microsoft anunciou requisitos para quem envia em volume ao Outlook.com, valendo a partir de 5 de maio de 2025 para domínios que mandam mais de 5 mil e-mails por dia:

O texto da recusa é este:

550 5.7.515 Access denied, sending domain [SeuDominio] does not meet the required authentication level.

Um detalhe que confunde: a atualização de 29/04/2025 do anúncio diz que as mensagens fora da regra seriam recusadas com 550 5.7.515, mas o mesmo texto e o site do Postmaster do Outlook.com ainda falam em mandar primeiro para o Lixo Eletrônico (verificado em 20/10/2026). Na prática, conte com os dois resultados: recusa ou lixo eletrônico.

Mais dois pontos do anúncio que pouca gente lê:

• A lista de remetentes confiáveis não salva ninguém. Na seção de perguntas, a Microsoft responde que a lista "Safe Senders" não é respeitada para essa exigência.
• Abaixo de 5 mil por dia também vale. A exigência começa pelos grandes, mas a recomendação é a mesma para todos, e a autenticação protege a reputação de qualquer domínio.

O anúncio também lista boas práticas que contam para a reputação: endereço de remetente válido e que recebe resposta, link de descadastro fácil de achar, remoção regular de endereços inválidos e assuntos que não enganam.

Checklist de autenticação para a Microsoft#

Para cada serviço que envia com o seu domínio (sistema, loja, CRM, e-mail da empresa):

• SPF passa no domínio do envelope (o "return path"), e esse domínio é o seu ou um subdomínio dele.
• DKIM passa com d= igual ao seu domínio (ou subdomínio). Assinatura só com o domínio do serviço não alinha.
• DMARC publicado em _dmarc.seudominio.com.br, um registro só, com rua= para receber os relatórios.
• SPF com até 10 consultas de DNS. A própria Microsoft lembra, no anúncio, que passar de 10 faz o SPF falhar.
• From real, de um endereço que recebe resposta.

Se você ainda não tem os registros, o passo a passo está em Como configurar SPF, DKIM e DMARC.

Para conferir o que a Microsoft viu, mande um e-mail para uma conta @outlook.com ou @hotmail.com, abra a mensagem e mostre o código-fonte (no menu de três pontos da mensagem, opção de exibir o código-fonte; o nome muda com o idioma). Procure a linha Authentication-Results:

Authentication-Results: spf=pass (sender IP is 203.0.113.10) smtp.mailfrom=bounces.seudominio.com.br;
 dkim=pass (signature was verified) header.d=seudominio.com.br;
 dmarc=pass action=none header.from=seudominio.com.br; compauth=pass reason=100

compauth é a autenticação composta da Microsoft, que junta SPF, DKIM, DMARC e outros sinais. Se aparecer dmarc=fail ou compauth=fail, o problema é de autenticação e nenhuma outra correção resolve antes dela.

Os códigos da Microsoft e o que fazer com cada um#

Os códigos do Outlook.com estão na página de solução de problemas do Postmaster; os do Microsoft 365, na lista de NDRs do Exchange Online.

Os códigos com S e número (como S3140 e S3150) não estão na tabela oficial do Postmaster, mas aparecem com frequência nas recusas do Outlook.com e nos pedidos de remoção feitos à Microsoft. Para outros códigos SMTP, veja Códigos de devolução SMTP explicados.

SNDS e JMRP: o que são e quando servem#

São as duas ferramentas gratuitas da Microsoft para quem envia ao Outlook.com. Elas ficam no portal novo do SNDS, que substitui o endereço antigo (sendersupport.olc.protection.outlook.com/snds), segundo o aviso do próprio portal atualizado em 22/09/2026.

SNDS (Smart Network Data Services) mostra dados por IP: volume, resultado do filtro e taxa de reclamação. Segundo o FAQ do SNDS:

• o resultado do filtro aparece em cores: verde com menos de 10% das mensagens marcadas como spam, amarelo entre 10% e 90% e vermelho acima de 90%;
• a taxa de reclamação é o número de reclamações dividido pelos destinatários, e a Microsoft cita menos de 0,3% como uma boa meta;
• IPs que mandaram menos de 100 mensagens no dia podem não ter dados;
• o acesso exige provar que você controla o IP (por DNS reverso, registro do IP ou ASN), e vence 10 meses depois da aprovação, quando é preciso confirmar de novo.

JMRP (Junk Mail Reporting Program) manda para você uma cópia de cada mensagem que um usuário do Outlook.com marcou como lixo eletrônico. Segundo a página de serviços do Postmaster, os relatórios começam a chegar em até 72 horas depois da inscrição. Use para tirar da lista, na hora, quem reclamou.

Quando você não consegue usar: os dois funcionam por IP. Se você envia por um serviço com IPs compartilhados, os IPs não são seus e quem se inscreve é o serviço. Pergunte ao seu provedor se ele recebe o retorno de reclamações da Microsoft e se suprime esses endereços automaticamente.

Formulário de suporte e pedido de desbloqueio#

Pedir desbloqueio antes de corrigir a causa costuma terminar em novo bloqueio. A ordem certa:

1. Corrija a causa: autenticação, lista, ritmo ou conteúdo, conforme o código.
2. Escolha o canal certo:
   • Outlook.com (consumidor): o formulário de suporte ao remetente, indicado pela própria Microsoft. Ele pede login com uma conta Microsoft. Informe o IP de envio, o código completo da recusa, a data e o que você corrigiu.
   • Microsoft 365 com 5.7.606 a 5.7.649: o portal de delist. Segundo a documentação, ele aceita um e-mail e um IP por vez, manda um link de confirmação e a retirada pode levar 24 horas ou mais.
   • Microsoft 365 com 5.7.511: e-mail para delist@microsoft.com com o NDR completo e o IP. A Microsoft diz que responde em até 48 horas.
3. Volte devagar. Depois da liberação, retome com os destinatários mais engajados e aumente o volume aos poucos.

Se o IP é do seu serviço de envio, quem pede a retirada é ele. Mande o código completo para o suporte do serviço.

Como medir a entrega por provedor#

"Enviado" não quer dizer "chegou". Para saber como está a Microsoft, separe os números por destino:

• Agrupe pelo MX, não só pelo domínio do endereço. @hotmail.com e @outlook.com são fáceis de reconhecer; os clientes corporativos no Microsoft 365 só aparecem quando você olha o MX (o mail.protection.outlook.com do exemplo acima).
• Conte três números por provedor: aceitos (resposta 250), adiados (4xx) e recusados (5xx). Adiamento alto na Microsoft e baixo no Gmail aponta para ritmo ou reputação; recusa com 5.7.515 aponta para autenticação.
• Caixa de entrada ou lixo eletrônico, nenhum provedor informa. O servidor só diz que aceitou. Para saber onde caiu, mande para caixas de teste suas no Outlook.com e no Hotmail e confira a pasta, sempre com o mesmo conteúdo do envio real.
• Leia os relatórios DMARC. A Microsoft confirma, no anúncio, que manda os relatórios agregados (rua) para o endereço do seu DMARC. Eles mostram quais servidores enviaram com o seu domínio e se passaram.

Autenticação certa e ainda no Lixo Eletrônico?#

Quando o cabeçalho mostra spf=pass, dkim=pass e dmarc=pass e o e-mail ainda cai no Lixo Eletrônico, o peso está na reputação e no conteúdo:

• Reclamações. A página de solução de problemas diz que a taxa de reclamação está entre os principais fatores que derrubam a reputação.
• IP ou domínio novo. A mesma página explica que IP sem histórico tem mais problemas no começo e costuma ganhar ritmo em algumas semanas, se a lista for boa e as reclamações ficarem baixas.
• Validação de endereços por SMTP. Ferramentas que "testam" se o endereço existe conectando no servidor da Microsoft sem enviar podem render o bloqueio SC-002.
• Conteúdo. Encurtadores de link, links para IPs, só imagem e assunto enganoso pesam contra. O guia E-mail caindo no spam detalha cada um.
• Transacional misturado com marketing. Uma campanha com muita reclamação derruba também o e-mail de senha. Separe os fluxos.

Onde o Couryo entra#

No Couryo, o domínio sai verificado com DKIM do seu domínio (seletores couryo1 e couryo2), return path num subdomínio seu e DMARC, o trio que a Microsoft exige, e com a Cloudflare conectada os registros são criados sozinhos. Cada e-mail tem uma linha do tempo com a resposta original do servidor da Microsoft e a explicação em português do que fazer. A entrega aparece separada por provedor de destino, e bloqueios por política (5.7.x) não suprimem o destinatário nem entram na sua taxa de devolução. O agente de entregabilidade acompanha devoluções e reclamações por provedor e avisa quando a Microsoft destoa; nos planos pagos, o teste de caixa de entrada mostra se a mensagem caiu na caixa de entrada ou no Lixo Eletrônico do Outlook e do Hotmail. Veja Agente de entregabilidade e Eventos e linha do tempo.

Perguntas frequentes#

Por que o e-mail chega no Gmail e não no Hotmail?#

Cada provedor tem filtro e regras próprios. O caso mais comum é DMARC ausente ou DKIM assinado com o domínio do serviço, e não com o seu: o Gmail ainda pode aceitar, enquanto a Microsoft recusa com 550 5.7.515 (acima de 5 mil por dia) ou manda para o Lixo Eletrônico. O segundo caso mais comum é reputação de IP, que aparece como S3150 ou RP-00x.

Envio menos de 5 mil por dia. A regra da Microsoft vale para mim?#

A exigência formal começa em 5 mil por dia, mas a própria Microsoft recomenda SPF, DKIM e DMARC para todos os remetentes. Abaixo do limite, a falta de autenticação não gera o 5.7.515, mas pesa no filtro e aumenta a chance de cair no Lixo Eletrônico.

Pedir para o cliente adicionar o remetente aos contatos resolve?#

Ajuda aquele cliente, mas não resolve o problema. A Microsoft diz que a lista de remetentes confiáveis não é respeitada para a exigência de autenticação, e o próximo cliente vai ter o mesmo problema. Corrija a autenticação e a lista.

Quanto tempo leva para sair de um bloqueio da Microsoft?#

Depende do canal. No portal de delist do Microsoft 365, a documentação fala em até 24 horas ou mais depois da confirmação; para 5.7.511, resposta em até 48 horas. No Outlook.com, o formulário de suporte não tem prazo publicado. Em qualquer caso, sem corrigir a causa, o bloqueio volta.

Preciso me inscrever no SNDS e no JMRP?#

Se os IPs de envio são seus, sim: são gratuitos e mostram reputação e reclamações do Outlook.com. Se você envia por um serviço com IPs compartilhados, quem se inscreve é o serviço; confirme com ele que as reclamações da Microsoft chegam e suprimem o destinatário.